Les applications de Microsoft quatre fois moins vulnérables que les autres

Hinault Romaric · 19/01/2011, 13h22

Les applications de Microsoft quatre fois moins vulnérables que les autres
Selon Secunia, les utilisateurs devraient plus s’inquiéter des applications tiers

La firme danoise de sécurité informatique et de suivi des vulnérabilités logicielles vient de publier son rapport annuel d’analyse des menaces sur l’année 2010.

De ce rapport et de la conférence de presse de présentation de celui-ci par Stefan Fei, directeur de Secunia, il ressort que les utilisateurs devraient moins s’inquiéter des vulnérabilités des produits Microsoft que celles des logiciels tiers.

Le rapport dévoile que le nombre de vulnérabilités découvertes a légèrement diminué au cours des deux dernières années. 84% des vulnérabilités découvertes en 2010 sont exploitables à distance et 64 % sont liées à des produits tiers qui n’ont pas un mécanisme de sécurité de qualité.

Le rapport révèle également que 55 % des utilisateurs ont plus de 66 programmes installés, programmes édités en moyenne par plus de 22 fournisseurs différents. Parmi les 50 logiciels les plus couramment installés, 26 ont été réalisés par Microsoft.

Selon le rapport, les applications développées par les autres entreprises seraient environ quatre fois plus vulnérables que celles développées par Microsoft.

D’après Frei cette différence vient du processus de mise à jour des applications de Microsoft qui est relativement simple pour les utilisateurs. Les autres entreprises utilisent des systèmes différents et seulement quelques-uns utilisent un mécanisme de mises à jour automatiques similaire à celui-ci de Microsoft.

L’absence d’un véritable processus de mises à jour fréquentes et adaptées aux habitudes des utilisateurs dans les entreprises créerait des véritables opportunités pour les pirates.

« Il y a un énorme décalage entre la période ou les vulnérabilités sont découvertes et exploitées par les pirates et celle ou les équipes de sécurité des entreprises mettent à la disposition des utilisateurs finaux des mises à jour appropriées » affirme Frei, « les petites entreprises ont moins de ressources à consacrer à la mise sur pied d’une fonction de mise à jour automatique de leurs produits ».

Le rapport montre que pour conserver leurs systèmes informatiques sécurisés, les utilisateurs doivent maitriser en moyenne 14 mécanismes différents de mise à jour des applications. La plupart des utilisateurs ne sont même pas informés de l'existence des mises à jour à leurs sorties. D'autres sont tout simplement dépassés par la complexité et la fréquence des mesures à prendre en rapport avec ces applications tiers pour protéger le système.

Secunia en conclue que l’exploitation des vulnérabilités des autres applications devrait beaucoup plus attirer les pirates que les vulnérabilités des technologies de Microsoft.

Un rapport qui va à l'encontre de bon nombre d'idées reçue.

Source : Le rapport Secunia (PDF)

Et vous ?

Que pensez-vous du processus de mise à jour des autres fournisseurs ?

Partagez-vous cette analyse de Secunia sur la meilleure sécurité des technologies de Microsoft ?

En collaboration avec Gordon Fowler

manudwarf · 19/01/2011, 14h01

Citation:

Envoyé par Hinault Romaric

Que pensez-vous du processus de mise à jour des autres fournisseurs ?

La critique est facile, puisque MS ne permet pas aux éditeurs tiers de profiter de son système de mises à jour, lui.

Citation:

Partagez-vous cette analyse de Secunia sur la meilleure sécurité des technologies de Microsoft ?

Ça me conforte dans l'idée qu'un système de mise à jour centralisé et ouvert offre une meilleure sécurité.

Anomaly · 19/01/2011, 14h04

Prenez Ubuntu, mais c'est aussi le cas de la plupart des autres distributions Linux, et vous disposez d'un système capable de mettre à jour automatiquement l'ensemble du système, applications comprises, sans aucune action autre de la part de l'utilisateur que la confirmation de l'installation des mises à jour. Et la plupart du temps sans avoir à réaliser le moindre reboot.

huit_six · 19/01/2011, 14h04

+1

Neko · 19/01/2011, 14h37

Citation:

Envoyé par Anomaly

Prenez Ubuntu, mais c'est aussi le cas de la plupart des autres distributions Linux, et vous disposez d'un système capable de mettre à jour automatiquement l'ensemble du système, applications comprises, sans aucune action autre de la part de l'utilisateur que la confirmation de l'installation des mises à jour. Et la plupart du temps sans avoir à réaliser le moindre reboot.

Et qu'est-ce qui empêche tout ces éditeurs tiers de se regrouper pour faire un système de mise à jour commun sous Windows, justement comme sous Ubuntu et autre distributions Linux ?

Sunsawe · 19/01/2011, 14h45

Citation:

Envoyé par Neko

Et qu'est-ce qui empêche tout ces éditeurs tiers de se regrouper pour faire un système de mise à jour commun sous Windows, justement comme sous Ubuntu et autre distributions Linux ?

Tu trouves plus logique de fédérer des milliers d'éditeurs pour faire un système de mise à jour commun, plutot que d'avoir un outil fournit par le point commun à tous, à savoir, le système d'exploitation...?

Neko · 19/01/2011, 14h48

Citation:

Envoyé par Sunsawe

Tu trouves plus logique de fédérer des milliers d'éditeurs pour faire un système de mise à jour commun, plutot que d'avoir un outil fournit par le point commun à tous, à savoir, le système d'exploitation...?

Tu réussi bien à fédérer ces éditeurs pour tous les autres standards, pourquoi ne pas en créer un pour ça ?

boris2587 · 19/01/2011, 14h48

C'est justement à Microsoft de mettre sa plateforme de mise à jour à la disposition des autres éditeurs de logiciels de Windows

Anomaly · 19/01/2011, 14h54

Je suis d'accord avec Sunsawe, le mécanisme de mise à jour du système et des applications devrait être idéalement intégré au système d'exploitation.

Linux y arrive bien (certes c'est facilité par le fait que la majorité des applications sont fournies par l'OS lui-même, mais même les applications externes comme par exemple Opera savent s'installer dans les mises à jour du système pour être mises à jour par le système).

Actuellement, sous Windows, c'est chacun pour soi. Certaines sociétés fournissent leur propre logiciel de mise à jour spécifique (Microsoft, Apple, Adobe, HP, Java, ...), ce qui prend de la RAM, de l'espace, et une interface différente pour chaque. D'autres incluent le mécanisme dans l'application elle-même au lancement (Firefox, Chrome, Notepad++, ...). Et enfin certaines n'offrent tout simplement aucun moyen de mise à jour automatique.

Bref, sous Windows y'a sacrément du retard par rapport à Linux sur ce point.

Neko · 19/01/2011, 15h03

Je crois qu'on s'est mal compris. Oui, idéalement ce serait au système. C'est pas le cas. Bouh, Méchant Microsoft, etc etc. Passons.

En fait ya que 3 possibilités:
- Soit rester comme ça ( c'est à dire le bordel )
- Soit faire changer d'avis Microsoft ( Bonne chance et pour ça faudrait se bouger un peu plus que dire simplement "pas bien!!" )
- Soit avancer sans leur accord et faire un système qui pourrait ( soyons fou! ) devenir standard.

Guardian · 19/01/2011, 16h23

Que je sache, tout le monde peut utiliser gratuitement MSI pour créer une installation de ses logiciels.
Si certains éditeurs utilisent un installateur qui leur est propre c'est leur faute, pas celle de Microsoft.

Citation:

Microsoft Windows Installer est un composant de votre système d'exploitation Windows qui offre une plateforme standard pour l'installation et la désinstallation de logiciels. Les fabricants de logiciels peuvent créer le programme d'installation de leurs logiciels de sorte qu'il utilise Windows Installer pour faciliter l'installation, la maintenance et la désinstallation des logiciels.

Anomaly · 19/01/2011, 16h34

Je ne vois pas le rapport entre MSI et le système de mise à jour idéal, automatique et centralisé dont on parle ici.

Guardian · 19/01/2011, 17h49

Simple réponse à ceci

Citation:

puisque MS ne permet pas aux éditeurs tiers de profiter de son système de mises à jour, lui

Michaël · 19/01/2011, 17h54

Pour info, l'équipe Windows Update est en train de refondre Windows Update depuis quelques mois pour autoriser les applis tierces à l'utiliser et ainsi centraliser les majs

_skip · 19/01/2011, 18h51

En même temps, j'apprécie de pouvoir installer la dernière version d'un logiciel grâce à un installeur juste téléchargé. La mise à jour centralisé c'est génial à condition que les dépôts de référence soient aux aussi bien à jour avec les dernières versions.

Rien n'est plus désagréable que de devoir installer manuellement des softs sur /opt/ car les versions proposées sont trop anciennes.

Anomaly · 19/01/2011, 19h09

Citation:

Envoyé par _skip

En même temps, j'apprécie de pouvoir installer la dernière version d'un logiciel grâce à un installeur juste téléchargé. La mise à jour centralisé c'est génial à condition que les dépôts de référence soient aux aussi bien à jour avec les dernières versions.

Rien n'est plus désagréable que de devoir installer manuellement des softs sur /opt/ car les versions proposées sont trop anciennes.

Pour certains logiciels, c'est fort possible d'inclure, en sus des dépôts officiels de la distribution qui contiennent les versions "gelées" des applications, des dépôts spécifiques qui permettent ainsi d'installer et de mettre à jour vers la dernière version des applications. WineHQ par exemple, le fait. Si Wine 1.2.1 fourni avec Ubuntu 10.10 ne te convient pas, il est très simple de configurer le système de paquets pour installer Wine 1.3.10 et le maintenir à jour automatiquement via le système officiel. Le principe des backports est le même, pour permettre à ceux qui préfèrent certains logiciels bleeding-edge plutôt qu'une version gelée, tout en continuant de profiter du système intégré de mise à jour.

Loceka · 19/01/2011, 19h36

Tant qu'on en est aux récriminations, une constatation qui s'est imposée à moi récemment, en sortant de la douche, c'est que dans les logiciels installés par aptitude/apt sous linux on ne trouve jamais de logiciels "tiers" inclus dans les logiciels.
A contrario, même dans certains logiciels "reconnus" de Windows (Java pour ne pas le citer) on a, à l'install, le choix (coché par défaut bien entendu) d'installer une barre de recherche Yahoo! dans les navigateurs, chaque logiciel ayant son sponsor bien évidemment, et ça se limite pas aux barres de recherche... Les produits Microsofts adoptent la même philosophie d'ailleurs : quand on télécharge un produit sur leur site (Windows Live pas exemple) il faut décocher toute une tripotée de logiciels indésirables.

Je trouve cette philosophie quelque peu rébarbative et nuisible...

Michaël · 19/01/2011, 19h41

Quels logiciels indésirables avec live ? La dernière fois que j'ai installé live, j'ai pas eu de logiciels indésirables autres que ceux de la suite live. Est-ce que tu parles de l'appli mail, photos, etc ? Si oui, c'est inclus dans la suite donc c'est normal qu'il te propose de l'installer

Ca fonctionne comme ça dans toutes les suites (ou presque)

stardeath · 19/01/2011, 19h43

je crois qu'il te propose de mettre la barre de bing et bing comme moteur de recherche par défaut, assez pénible en effet.

Loceka · 19/01/2011, 19h56

Citation:

Envoyé par Michaël

Est-ce que tu parles de l'appli mail, photos, etc ? Si oui, c'est inclus dans la suite donc c'est normal qu'il te propose de l'installer

Oui, je parle bien de ça. Quand tu mets à jour Windows Live il te propose en plus plein de logiciels qui, pour moi, sont des logiciels tiers (je mets à jour Windows Live, je veux juste Windows Live).

De plus, comme le dit stardeath, il propose en sus de ça sa barre de recherche.

Moi je ne trouve pas ça normal.

19/01/2011, 13h22	#1
Hinault Romaric Chroniqueur Actualités Hinault Romaric Consultant Inscription : janvier 2007 Messages : 2 115 Détails du profil Informations personnelles : Nom : Hinault Romaric Localisation : Cameroun Informations professionnelles : Activité : Consultant Secteur : High Tech - Éditeur de logiciels Informations forums : Inscription : janvier 2007 Messages : 2 115 Points : 31 039 Points : 31 039	Les applications de Microsoft quatre fois moins vulnérables que les autres Les applications de Microsoft quatre fois moins vulnérables que les autres Selon Secunia, les utilisateurs devraient plus s’inquiéter des applications tiers La firme danoise de sécurité informatique et de suivi des vulnérabilités logicielles vient de publier son rapport annuel d’analyse des menaces sur l’année 2010. De ce rapport et de la conférence de presse de présentation de celui-ci par Stefan Fei, directeur de Secunia, il ressort que les utilisateurs devraient moins s’inquiéter des vulnérabilités des produits Microsoft que celles des logiciels tiers. Le rapport dévoile que le nombre de vulnérabilités découvertes a légèrement diminué au cours des deux dernières années. 84% des vulnérabilités découvertes en 2010 sont exploitables à distance et 64 % sont liées à des produits tiers qui n’ont pas un mécanisme de sécurité de qualité. Le rapport révèle également que 55 % des utilisateurs ont plus de 66 programmes installés, programmes édités en moyenne par plus de 22 fournisseurs différents. Parmi les 50 logiciels les plus couramment installés, 26 ont été réalisés par Microsoft. Selon le rapport, les applications développées par les autres entreprises seraient environ quatre fois plus vulnérables que celles développées par Microsoft. D’après Frei cette différence vient du processus de mise à jour des applications de Microsoft qui est relativement simple pour les utilisateurs. Les autres entreprises utilisent des systèmes différents et seulement quelques-uns utilisent un mécanisme de mises à jour automatiques similaire à celui-ci de Microsoft. L’absence d’un véritable processus de mises à jour fréquentes et adaptées aux habitudes des utilisateurs dans les entreprises créerait des véritables opportunités pour les pirates. « Il y a un énorme décalage entre la période ou les vulnérabilités sont découvertes et exploitées par les pirates et celle ou les équipes de sécurité des entreprises mettent à la disposition des utilisateurs finaux des mises à jour appropriées » affirme Frei, « les petites entreprises ont moins de ressources à consacrer à la mise sur pied d’une fonction de mise à jour automatique de leurs produits ». Le rapport montre que pour conserver leurs systèmes informatiques sécurisés, les utilisateurs doivent maitriser en moyenne 14 mécanismes différents de mise à jour des applications. La plupart des utilisateurs ne sont même pas informés de l'existence des mises à jour à leurs sorties. D'autres sont tout simplement dépassés par la complexité et la fréquence des mesures à prendre en rapport avec ces applications tiers pour protéger le système. Secunia en conclue que l’exploitation des vulnérabilités des autres applications devrait beaucoup plus attirer les pirates que les vulnérabilités des technologies de Microsoft. Un rapport qui va à l'encontre de bon nombre d'idées reçue. Source : Le rapport Secunia (PDF) Et vous ? Que pensez-vous du processus de mise à jour des autres fournisseurs ? Partagez-vous cette analyse de Secunia sur la meilleure sécurité des technologies de Microsoft ? En collaboration avec Gordon Fowler __________________ Si déboguer est l’art de corriger les bugs, alors programmer est l’art d’en faire Mon blog Mes articles En posant correctement votre problème, on trouve la moitié de la solution
	11

19/01/2011, 14h04	#3
Anomaly Responsable technique Administrateur systèmes et développeur Web Inscription : juin 2003 Messages : 7 430 Détails du profil Informations personnelles : Sexe : Âge : 32 Localisation : France, Somme (Picardie) Informations professionnelles : Activité : Administrateur systèmes et développeur Web Secteur : High Tech - Multimédia et Internet Informations forums : Inscription : juin 2003 Messages : 7 430 Points : 14 178 Points : 14 178	Prenez Ubuntu, mais c'est aussi le cas de la plupart des autres distributions Linux, et vous disposez d'un système capable de mettre à jour automatiquement l'ensemble du système, applications comprises, sans aucune action autre de la part de l'utilisateur que la confirmation de l'installation des mises à jour. Et la plupart du temps sans avoir à réaliser le moindre reboot. __________________ Responsable technique forum & site Si ce message (ou un autre) vous a aidé et/ou vous semble pertinent, votez pour lui avec
	92

19/01/2011, 14h48	#8
boris2587 Invité régulier Inscription : février 2006 Messages : 6 Détails du profil Informations forums : Inscription : février 2006 Messages : 6 Points : 6 Points : 6	C'est justement à Microsoft de mettre sa plateforme de mise à jour à la disposition des autres éditeurs de logiciels de Windows
	40

19/01/2011, 14h54	#9
Anomaly Responsable technique Administrateur systèmes et développeur Web Inscription : juin 2003 Messages : 7 430 Détails du profil Informations personnelles : Sexe : Âge : 32 Localisation : France, Somme (Picardie) Informations professionnelles : Activité : Administrateur systèmes et développeur Web Secteur : High Tech - Multimédia et Internet Informations forums : Inscription : juin 2003 Messages : 7 430 Points : 14 178 Points : 14 178	Je suis d'accord avec Sunsawe, le mécanisme de mise à jour du système et des applications devrait être idéalement intégré au système d'exploitation. Linux y arrive bien (certes c'est facilité par le fait que la majorité des applications sont fournies par l'OS lui-même, mais même les applications externes comme par exemple Opera savent s'installer dans les mises à jour du système pour être mises à jour par le système). Actuellement, sous Windows, c'est chacun pour soi. Certaines sociétés fournissent leur propre logiciel de mise à jour spécifique (Microsoft, Apple, Adobe, HP, Java, ...), ce qui prend de la RAM, de l'espace, et une interface différente pour chaque. D'autres incluent le mécanisme dans l'application elle-même au lancement (Firefox, Chrome, Notepad++, ...). Et enfin certaines n'offrent tout simplement aucun moyen de mise à jour automatique. Bref, sous Windows y'a sacrément du retard par rapport à Linux sur ce point. __________________ Responsable technique forum & site Si ce message (ou un autre) vous a aidé et/ou vous semble pertinent, votez pour lui avec
	60

19/01/2011, 15h03	#10
Neko Membre Expert Développeur informatique Inscription : juillet 2005 Messages : 512 Détails du profil Informations personnelles : Sexe : Âge : 28 Localisation : France Informations professionnelles : Activité : Développeur informatique Secteur : High Tech - Multimédia et Internet Informations forums : Inscription : juillet 2005 Messages : 512 Points : 1 869 Points : 1 869	Je crois qu'on s'est mal compris. Oui, idéalement ce serait au système. C'est pas le cas. Bouh, Méchant Microsoft, etc etc. Passons. En fait ya que 3 possibilités: - Soit rester comme ça ( c'est à dire le bordel ) - Soit faire changer d'avis Microsoft ( Bonne chance et pour ça faudrait se bouger un peu plus que dire simplement "pas bien!!" ) - Soit avancer sans leur accord et faire un système qui pourrait ( soyons fou! ) devenir standard.
	52

19/01/2011, 14h04	#4
huit_six Membre confirmé Inscription : avril 2009 Messages : 177 Détails du profil Informations forums : Inscription : avril 2009 Messages : 177 Points : 218 Points : 218	+1
	19

19/01/2011, 16h34	#12
Anomaly Responsable technique Administrateur systèmes et développeur Web Inscription : juin 2003 Messages : 7 430 Détails du profil Informations personnelles : Sexe : Âge : 32 Localisation : France, Somme (Picardie) Informations professionnelles : Activité : Administrateur systèmes et développeur Web Secteur : High Tech - Multimédia et Internet Informations forums : Inscription : juin 2003 Messages : 7 430 Points : 14 178 Points : 14 178	Je ne vois pas le rapport entre MSI et le système de mise à jour idéal, automatique et centralisé dont on parle ici. __________________ Responsable technique forum & site Si ce message (ou un autre) vous a aidé et/ou vous semble pertinent, votez pour lui avec
	30

19/01/2011, 17h54	#14
Michaël Rédacteur/Modérateur Michaël Todorovic Ingénieur systèmes et réseaux Inscription : juillet 2003 Messages : 3 493 Détails du profil Informations personnelles : Nom : Michaël Todorovic Âge : 25 Localisation : France, Paris (Île de France) Informations professionnelles : Activité : Ingénieur systèmes et réseaux Informations forums : Inscription : juillet 2003 Messages : 3 493 Points : 5 899 Points : 5 899	Pour info, l'équipe Windows Update est en train de refondre Windows Update depuis quelques mois pour autoriser les applis tierces à l'utiliser et ainsi centraliser les majs __________________ - Installation et configuration de Exchange 2010 new! - Installation d'Office Communications Server (OCS) 2007 R2 Standard - Présentation de Microsoft Online Services - Installation d'Active Directory sous Windows Server 2008 R2 - Mon blog sur Windows Server, Exchange, OCS et AD \| Mes articles
	30

19/01/2011, 18h51	#15
_skip Expert Confirmé Sénior Développeur d'applications Inscription : novembre 2005 Messages : 2 315 Détails du profil Informations personnelles : Sexe : Âge : 28 Localisation : Suisse Informations professionnelles : Activité : Développeur d'applications Secteur : High Tech - Produits et services télécom et Internet Informations forums : Inscription : novembre 2005 Messages : 2 315 Points : 4 750 Points : 4 750	En même temps, j'apprécie de pouvoir installer la dernière version d'un logiciel grâce à un installeur juste téléchargé. La mise à jour centralisé c'est génial à condition que les dépôts de référence soient aux aussi bien à jour avec les dernières versions. Rien n'est plus désagréable que de devoir installer manuellement des softs sur /opt/ car les versions proposées sont trop anciennes.
	00

19/01/2011, 19h36	#17
Loceka Membre Expert Tlouye Ci Inscription : mars 2004 Messages : 1 450 Détails du profil Informations personnelles : Nom : Tlouye Ci Informations forums : Inscription : mars 2004 Messages : 1 450 Points : 2 149 Points : 2 149	Tant qu'on en est aux récriminations, une constatation qui s'est imposée à moi récemment, en sortant de la douche, c'est que dans les logiciels installés par aptitude/apt sous linux on ne trouve jamais de logiciels "tiers" inclus dans les logiciels. A contrario, même dans certains logiciels "reconnus" de Windows (Java pour ne pas le citer) on a, à l'install, le choix (coché par défaut bien entendu) d'installer une barre de recherche Yahoo! dans les navigateurs, chaque logiciel ayant son sponsor bien évidemment, et ça se limite pas aux barres de recherche... Les produits Microsofts adoptent la même philosophie d'ailleurs : quand on télécharge un produit sur leur site (Windows Live pas exemple) il faut décocher toute une tripotée de logiciels indésirables. Je trouve cette philosophie quelque peu rébarbative et nuisible...
	11

19/01/2011, 19h41	#18
Michaël Rédacteur/Modérateur Michaël Todorovic Ingénieur systèmes et réseaux Inscription : juillet 2003 Messages : 3 493 Détails du profil Informations personnelles : Nom : Michaël Todorovic Âge : 25 Localisation : France, Paris (Île de France) Informations professionnelles : Activité : Ingénieur systèmes et réseaux Informations forums : Inscription : juillet 2003 Messages : 3 493 Points : 5 899 Points : 5 899	Quels logiciels indésirables avec live ? La dernière fois que j'ai installé live, j'ai pas eu de logiciels indésirables autres que ceux de la suite live. Est-ce que tu parles de l'appli mail, photos, etc ? Si oui, c'est inclus dans la suite donc c'est normal qu'il te propose de l'installer Ca fonctionne comme ça dans toutes les suites (ou presque) __________________ - Installation et configuration de Exchange 2010 new! - Installation d'Office Communications Server (OCS) 2007 R2 Standard - Présentation de Microsoft Online Services - Installation d'Active Directory sous Windows Server 2008 R2 - Mon blog sur Windows Server, Exchange, OCS et AD \| Mes articles
	10

19/01/2011, 19h43	#19
stardeath Membre Expert Inscription : février 2006 Messages : 1 389 Détails du profil Informations forums : Inscription : février 2006 Messages : 1 389 Points : 2 046 Points : 2 046	je crois qu'il te propose de mettre la barre de bing et bing comme moteur de recherche par défaut, assez pénible en effet.
	01

Outils de la discussion
Afficher une version imprimable Envoyer un lien vers cette page par email